Trojan.KryptikJUE

Trojan.Kryptik.JUE è un pericoloso trojan che colpisce i computer Windows. Classificato con un livello di pericolosità elevato, questo malware è progettato per infiltrarsi silenziosamente in un sistema, camuffarsi da programma legittimo ed eseguire una serie di azioni dannose all'insaputa dell'utente. Il suo nome è associato alla più ampia famiglia di trojan Kryptik, noti per l'utilizzo di tecniche di offuscamento e camuffamento per eludere il rilevamento.

Cosa fa Trojan.Kryptik.JUE

Una volta attivo su un sistema, Trojan.Kryptik.JUE viene eseguito silenziosamente in background mentre svolge operazioni dannose. L'analisi di questa minaccia mostra che si tratta di un eseguibile a 64 bit per Windows che si maschera da applicazione legittima, in questo caso presentandosi come un visualizzatore di documenti, completo di un nome aziendale e una descrizione del prodotto falsi, progettati per farlo sembrare affidabile. Nonostante questo travestimento, il file possiede una catena di firme digitali non considerata attendibile dal sistema operativo, un segnale di allarme che lo distingue dal software legittimo.

Dal punto di vista comportamentale, il Trojan utilizza chiamate di sistema di basso livello per manipolare la memoria, mappare e demappare sezioni di codice e interagire direttamente con i file, tecniche spesso associate all'iniezione di processi e tentativi di operare furtivamente all'interno di processi attendibili. È stato osservato che utilizza funzioni per verificare la presenza di un debugger, il che suggerisce che cerchi di eludere l'analisi da parte dei ricercatori di sicurezza. È anche in grado di aprire connessioni di rete, il che significa che può comunicare con un server remoto, potenzialmente per ricevere ulteriori istruzioni o esfiltrare dati. Inoltre, l'attività di esecuzione di comandi che coinvolge query di sessione di rete indica che il Trojan potrebbe tentare di raccogliere informazioni sul sistema e su qualsiasi risorsa di rete connessa. Come altri Trojan di questa categoria, Kryptik.JUE può fornire agli aggressori il controllo remoto sulla macchina infetta, eliminare o modificare file e installare ulteriore malware.

Come solitamente si insinua nei computer

Trojan.Kryptik.JUE si diffonde in genere attraverso metodi ingannevoli tipici di questa categoria di minacce. Spesso è incluso in software scaricati da siti web inaffidabili o compromessi, oppure viene inviato come allegato e-mail camuffato da file innocuo, come un eseguibile, un'immagine o un video. In alcuni casi, può sfruttare vulnerabilità di sistema non corrette per installarsi senza alcuna azione diretta da parte dell'utente. Poiché il file può essere camuffato con un nome e informazioni sull'editore apparentemente legittimi, gli utenti possono essere indotti ad eseguirlo manualmente, credendo che si tratti di un innocuo visualizzatore di documenti o di un'utilità simile.

Rischi per l’utente

La presenza di questo Trojan comporta seri rischi. Può garantire agli aggressori un ampio controllo sul computer infetto, consentendo loro di rubare informazioni personali o finanziarie, monitorare l'attività e installare ulteriore software dannoso. La sua capacità di interrogare le informazioni sulle sessioni di rete suggerisce che potrebbe anche tentare di diffondersi o raccogliere informazioni all'interno di una rete locale, aspetto particolarmente preoccupante in ambienti aziendali o con computer condivisi.

Segni di infezione

Poiché i Trojan come questo sono progettati per operare in modo furtivo, i segnali visibili possono essere impercettibili. Gli utenti dovrebbero prestare attenzione a rallentamenti inaspettati, processi sconosciuti in esecuzione in background, attività di rete anomale, disattivazione del software di sicurezza o finestre pop-up ed errori imprevisti. Anche i programmi che si arrestano in modo anomalo o la comparsa di nuovi file senza spiegazione possono indicare un'infezione.

Come rimanere protetti

Per ridurre il rischio di infezione, evita di scaricare software da siti web non ufficiali o sospetti e non aprire mai allegati e-mail provenienti da mittenti sconosciuti o non verificati. Mantieni aggiornati il sistema operativo e tutte le applicazioni installate per correggere le vulnerabilità di sicurezza note. Esegui regolarmente il backup dei file importanti, presta attenzione ai link e ai download non richiesti e mantieni un software di sicurezza affidabile e aggiornato per rilevare e rimuovere minacce come Trojan.Kryptik.JUE prima che possano causare danni.

Rapporto di analisi

Informazione Generale

Cognome:	Trojan.Kryptik.JUE
Stato della firma:	Root Not Trusted

Campioni noti

i

Campioni noti

Questa sezione elenca altri campioni di file che si ritiene siano associati a questa famiglia.

MD5: eb4425af985de82f82a01e4ecddef6fa SHA1: 3b54abfbc168d51402b38125303efecdc138cfc3 SHA256: FED29E36A91E006AA72ACD7FC52FFE19ED1DC66D9DB84919EA2AB8E94B0071BE Dimensione del file: 2.05 MB.2048552 byte

Attributi di Windows Portable Executable

i

Attributi di Windows Portable Executable

Questa sezione elenca gli attributi dei file trovati all'interno dei campioni della famiglia. Questi attributi vengono estratti dalle specifiche Windows PE (Portable Executable) dei file e da vari flag di sistema. Gli attributi Portable Executable forniscono ai ricercatori di malware informazioni sulla funzionalità di un file, sui dettagli dell'eseguibile, sulla piattaforma e sull'ambiente di runtime.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File has TLS information
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Show 1 more

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Icone dei file

i

Icone dei file

Questa sezione mostra le risorse delle icone trovate all'interno dei campioni della famiglia. Il malware spesso replica le icone comunemente associate ai software legittimi per indurre gli utenti a credere che il malware sia sicuro.

Informazioni sulla versione di Windows PE

i

Informazioni sulla versione di Windows PE

Questa sezione mostra i valori e gli attributi impostati nella struttura dati delle informazioni sulla versione dei file di Windows per i campioni di questa famiglia. Per ingannare gli utenti, gli autori di malware spesso aggiungono informazioni di versione false che imitano software legittimi.

Nome	Valore
Company Name	Adobe Inc.
File Description	Instruction Document Viewer
File Version	2.1.0.4
Legal Copyright	Copyright © 2025 Adobe Inc.
Original Filename	Instruction.exe
Product Name	Instruction Viewer
Product Version	2.1.0.4

Firme digitali

i

Firme digitali

Questa sezione elenca le firme digitali associate ai campioni appartenenti a questa famiglia. Durante l'analisi e la verifica delle firme digitali, è importante accertarsi che l'autorità radice della firma sia un'entità nota e affidabile e che lo stato della firma sia valido. Il malware è spesso firmato con firme digitali "autofirmate" non affidabili (che possono essere create facilmente dall'autore del malware senza alcuna verifica). Il malware può anche essere firmato con firme legittime che presentano uno stato non valido, oppure con firme provenienti da autorità radice discutibili con nomi di "firmatario" falsi o fuorvianti.

Firmatario	Radice	Stato
Flagship Promotion s. r. o.	SSL.com EV Root Certification Authority RSA R2	Root Not Trusted

Caratteristiche dei file

• ntdll
• x64

Informazioni sul blocco

i

Informazioni sul blocco

Durante l'analisi, EnigmaSoft suddivide i campioni di file in blocchi logici per la classificazione e il confronto con altri campioni. I blocchi possono essere utilizzati per generare regole di rilevamento del malware e per raggruppare i campioni di file in famiglie in base al codice sorgente condiviso, alla funzionalità e ad altri attributi e caratteristiche distintive. Questa sezione elenca un riepilogo dei dati dei blocchi, nonché la loro classificazione da parte di EnigmaSoft. Viene inoltre visualizzata una rappresentazione grafica dei dati dei blocchi, ove disponibile.

Blocchi totali:	5,445
Blocchi potenzialmente dannosi:	132
Blocchi consentiti:	5,131
Blocchi sconosciuti:	182

Mappa visiva

... Dati troncati

0 - Probabile blocco di sicurezza
? - Blocco sconosciuto
x - Blocco potenzialmente dannoso

Modifiche al registro

i

Modifiche al registro

Questa sezione elenca le chiavi e i valori del registro di sistema creati, modificati e/o eliminati dai campioni di questa famiglia. L'attività del Registro di sistema di Windows può fornire preziose informazioni sulla funzionalità del malware. Inoltre, il malware spesso crea valori nel registro di sistema per potersi avviare automaticamente e persistere indefinitamente dopo che un'infezione iniziale ha compromesso il sistema.

Chiave::Valore	Dati	Nome API
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\cmd.exe	G٪C;� 	RegNtPreCreateKey
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe	㶔ᆭ㭃ǝ	RegNtPreCreateKey

Utilizzo delle API di Windows

i

Utilizzo delle API di Windows

Questa sezione elenca le chiamate API di Windows utilizzate dagli esempi di questa famiglia. L'analisi dell'utilizzo delle API di Windows è uno strumento prezioso che può aiutare a identificare attività dannose, come keylogging, escalation dei privilegi di sicurezza, crittografia dei dati, esfiltrazione di dati, interferenza con software antivirus e manipolazione delle richieste di rete.

Categoria	API
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAddAtomEx ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcAcceptConnectPort ntdll.dll!NtAlpcConnectPortEx ntdll.dll!NtAlpcCreatePort ntdll.dll!NtAlpcOpenSenderProcess ntdll.dll!NtAlpcQueryInformation ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl Show 80 more ntdll.dll!NtClearEvent ntdll.dll!NtClose ntdll.dll!NtConnectPort ntdll.dll!NtCreateEvent ntdll.dll!NtCreateFile ntdll.dll!NtCreateIoCompletion ntdll.dll!NtCreateMutant ntdll.dll!NtCreateSection ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateThreadEx ntdll.dll!NtDeleteValueKey ntdll.dll!NtDeviceIoControlFile ntdll.dll!NtDuplicateObject ntdll.dll!NtDuplicateToken ntdll.dll!NtEnumerateKey ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFindAtom ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtNotifyChangeKey ntdll.dll!NtOpenDirectoryObject ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenMutant ntdll.dll!NtOpenProcess ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenThread ntdll.dll!NtOpenThreadToken ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryDirectoryFileEx ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReadRequestData ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRemoveIoCompletionEx ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtResumeThread ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSetIoCompletion ntdll.dll!NtSetTimer2 ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTerminateProcess ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForMultipleObjects ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile UNKNOWN
Process Manipulation Evasion	NtUnmapViewOfSection
Process Shell Execute	CreateProcess
Anti Debug	IsDebuggerPresent
User Data Access	GetUserObjectInformation
Process Terminate	TerminateProcess
Cert Store Read	CertOpenStore
Network Winsock2	WSASocket WSAStartup
Network Winsock	bind closesocket connect freeaddrinfo getaddrinfo

Esecuzione di comandi shell

i

Esecuzione di comandi shell

Questa sezione elenca i comandi della shell di Windows eseguiti dai campioni di questa famiglia. I comandi della shell di Windows vengono spesso sfruttati dai malware per scopi illeciti e possono essere utilizzati per elevare i privilegi di sicurezza, scaricare e avviare altri malware, sfruttare le vulnerabilità, raccogliere ed esfiltrare dati e nascondere attività dannose.

C:\WINDOWS\system32\cmd.exe "cmd" /C net session

C:\WINDOWS\system32\net.exe net session